Reconocer la vulnerabilidad, trabajar en el rezago de los diversos sectores, así como mayor atención en sistemas tecnológicos, son algunos de los retos en el tema de ciberseguridad en México.

De acuerdo con una publicación del sitio web Forbes México, representantes de bancos y entidades financieras como Banco de México, Santander, Banorte y Finamex, coinciden en que las vulnerabilidades de seguridad dirigidos hacia los bancos, casas de bolsa y otros participantes del sistema de pagos en México y en específico en el caso SPEI (Sistema de Pagos Electrónicos Interbancarios) dejaron enseñanzas básicas, como el reconocer que existe displicencia en el tema de ciberseguridad en el país.

El 22 de mayo, Banxico emitió un documento en donde señala que registró 5 participantes con vulneraciones de ciberseguridad. “Todos los ataques que se han observado han sido dirigidos hacia los bancos, casas de bolsa y otros participantes del sistema de pagos. Estos han estado enfocados en los sistemas de los participantes con los que se conectan al SPEI”.

En este sentido algunos representantes de diversas entidades financieras señalan que se debe reconocer las vulnerabilidades en diversos sectores en México para que se pueda trabajar ante este tipo de amenazas.

Octavio Berges, director general de tecnologías de la información del Banco de México, detalló que en México todavía existe un rezago importante que hay que abatir en el tema de seguridad cibernética.

“Lo que nos dejó y descubrimos del acontecimiento de SPEI, fue que al menos en el sector existe displicencia en el tema de ciberseguridad. Sí se habla mucho de inversión, pero cuando se presentó el escenario crítico, descubrimos un rezago muy importante en todos los participantes”, dijo.

Por su parte, Ricardo Morales, director ejecutivo de seguridad de la información de Banorte, señaló que el caso SPEI sirvió para tener mejores candados de seguridad y trabajar más rápido en la implementación de soluciones.

“Aprendimos que tenemos que levantar la barda en temas de seguridad, cualquier diseño de nuevos programas de seguridad cada vez más agresivos, tienen que ser muy cuánticos y en muy corto plazo obtener resultados”, señaló.

En su participación José Luis Cisneros, CIO de Casa de Bolsa Finamex y presidente del Consejo de Seguridad AMIB, llamó a crear conciencia en los diferentes niveles organizacionales de las empresas porque sin esto, dijo, ninguna estrategia puede funcionar.

“Aprendimos que somos vulnerables, comprendimos esa parte, creo que en el pasado pudimos haber pensado que esto era una pelìcula y que no iba a suceder y ahora hemos visto que somos vulnerables. Como sugerencias es hacer conciencia con los comités ejecutivos, los presidentes, los accionistas, porque estas estrategias no se pueden implementar de la mejor manera si no tenemos el apoyo de las cabezas de las organizaciones”, detalló.

Raúl Gómez Voguel, director de riesgo informático y operacional de Santander, se refirió a que las amenazas y vulnerabilidades que solo imaginábamos se hicieron reales y ante esto hay que dejar de pensar que no nos puede pasar.

Fuente https://www.forbes.com.mx/que-aprendieron-los-bancos-en-mexico-del-caso-spei/

Muchos de los intentos de intrusión resultan de la explotación de vulnerabilidades ya identificadas y para las que se disponía de correctivos: actualizaciones y parches que únicamente requieren su aplicación.

Sin embargo, un gran número de organizaciones todavía tienen problemas para monitorear y administrar el proceso de aplicación de estas actualizaciones.

Una vez que se anuncia alguna vulnerabilidad, los cibercriminales comenzarán la carrera por explotarla.

Incluso, hay quienes pueden pensar que los intentos de intrusión y los peligros que implican son poco frecuentes, pero definitivamente no es así. Un ejemplo de ello, son dos de los casos de seguridad informática más conocidos en fechas recientes, la fuga de datos de Equifax y el ransomware Wannacry.

Estos dos casos, que a primera vista parecen completamente ajenos entre sí, tienen un gran punto en común: ambos implicaron intentos maliciosos en los que se explotan vulnerabilidades no corregidas.

También resaltan el hecho de que muchas compañías todavía usan Sistemas Operativos como Windows 7 o Windows 8 (a pesar de las altas tasas de penetración del 87% y del 38%, respectivamente), que por lo tanto son objetivos de elección. Las organizaciones que dependen de estos Sistemas Operativos deben estar atentos para mantenerse al día con los parches de seguridad y aplicarlos de manera oportuna.

¿Por qué no se implementan estos parches a pesar del peligro?

En primer lugar, muchas personas, tanto usuarios ‘privados’ como usuarios en el ámbito profesional, no son conscientes del peligro y, por lo tanto, ignoran las múltiples advertencias de actualización que reciben.

Otros, más desconfiados, no saben si el mensaje de notificación de actualización es real. Y por miedo, puede elegir ignorar una advertencia de parche legítima.

El uso masivo de software sin licenciatambién afecta la aplicación de parches. Decenas de millones de personas usan software descargado ilegalmente, y muchos temen que el último parche lo eliminará o deshabilitará.

¿Cómo y cuándo aplicar los parches?

En cuanto al momento de la aplicación del parche, es lógico que todos los parches se apliquen tan pronto como sea posible.

Las organizaciones deben priorizar su estrategia para abordar soluciones críticas primero. Una posible estrategia es enfocarse primero en las vulnerabilidades llamadas “N-Day” (ya identificadas) que han causado violaciones a otras compañías.

Mediante la adopción de una estrategia de gestión de parches simplificada – incluyendo un conocimiento de los horarios de distribución de parches y responsabilidades definidas para los involucrados en la evaluación de vulnerabilidades y parches a aplicar – las organizaciones pueden posicionarse para actuar con rapidez.

De este modo, pueden reducir significativamente el tiempo entre la detección de información sobre nuevas vulnerabilidades de seguridad, vulnerabilidades y evaluación de parches o soluciones temporales, en su caso.

Más allá de la aplicación de los parches, puede ser interesante para su organización realizar una auditoría de sus sistemas de información para identificar controles y acciones adicionales. Si no se tiene una imagen completa de la situación de la seguridad de TI, nunca se tendrá una visión global de fortalezas y debilidades, lo que dificultará laestrategia de gestión de vulnerabilidades.

Fuente https://globbsecurity.com/por-que-las-vulnerabilidades-no-parcheadas-son-una-amenaza-real-para-la-seguridad-43480/

IBM ha publicado los resultados de un estudio global que examina el impacto financiero de una violación de datos en los resultados de una empresa. El estudio 2018 Cost of a Data Breach Study descubrió que los costos ocultos en el robo de datos, como la pérdida de negocios, el impacto negativo en la reputación y el tiempo empleado en la recuperación, son altamente difíciles de administrar.

Basado en entrevistas de profundidad a cerca de 500 compañías que experimentaron una violación de datos, el estudio analiza cientos de factores de costos que rodean una violación de datos, desde investigaciones técnicas y recuperación hasta notificaciones, actividades legales y regulatorias, y el costo de pérdida de negocios y reputación.

Este año, por primera vez, el estudio también calculó los costos asociados con “mega infracciones” que van de 1 millón a 50 millones de registros perdidos, proyectando que estas brechas les cuestan a las compañías entre $40 millones y $350 millones de dólares, respectivamente.

Durante los últimos 13 años, el Instituto Ponemon ha examinado el costo asociado con las infracciones de datos de menos de 100,000 registros y ha constatado que los costos han aumentado a lo largo del tiempo. El costo promedio de una violación de datos fue de $3.86 millones en el estudio de 2018, en comparación con $3.50 millones en 2014, lo que representa un aumento neto de casi 10% en los últimos 5 años.

El estudio también examina los factores que aumentan o disminuyen el costo de la infracción, descubriendo que los costos se ven muy afectados por la cantidad de tiempo dedicado a contener una violación de datos, así como las inversiones en tecnologías que aceleran el tiempo de respuesta:

• El tiempo promedio para identificar una violación de datos en el estudio fue de 197 días, y el tiempo promedio para contener una violación de datos una vez identificado fue de 69 días.
• Las empresas que contuvieron un incumplimiento en menos de 30 días ahorraron más de $1 millón de dólares en comparación con las que tardaron más de 30 días ($3,09 millones frente a un total promedio de $4,25 millones de dólares).

El estudio examinó varios factores que aumentan o disminuyen este costo:

• Tener un equipo de respuesta a incidentes fue el principal factor de ahorro de costos, reduciendo el costo en $14 por registro comprometido.
• El uso de una plataforma de inteligencia artificial para la ciberseguridad redujo el costo en $8 por pérdida o robo de registro.
• Las compañías que indicaron una “prisa para notificar” tuvieron un costo más alto por $5 por registro perdido o robado.

Este año, por primera vez, el informe examinó el efecto de las herramientas de automatización de seguridad que utilizan inteligencia artificial, aprendizaje automático, análisis y orquestación para aumentar o reemplazar la intervención humana en la identificación y contención de una violación. El análisis encontró que las organizaciones que implementaron ampliamente las tecnologías de seguridad automatizadas ahorraron más de $1.5 millones de dólares en el costo total de una infracción ($2.88 millones de dólares, en comparación con $4.43 millones de dólares para aquellos que no implementaron la automatización de seguridad).

Existen estrategias para ayudar a las empresas a reducir el costo potencial de una violación de datos. Por cuarto año consecutivo, el estudio encontró una correlación entre la rapidez con que una organización identifica y contiene una infracción y el costo total.

Las empresas que trabajaron para mejorar la confianza del cliente redujeron la cantidad de clientes perdidos, lo que redujo el costo de una infracción. Cuando desplegaron un líder de alto nivel, como un jefe de privacidad (CPO) o un jefe de seguridad de la información (CISO), para dirigir iniciativas de confianza del cliente, las empresas perdieron menos clientes y minimizaron las consecuencias financieras.

Si desea consultar el estudio 2018 Cost of a Data Breach Study by Ponemon, ingresar a https://www.ibm.com/security/data-breach

Fuente http://computerworldmexico.com.mx/costos-ocultos-de-las-brechas-de-datos-aumentan-los-gastos-para-las-empresas/

A raíz del ataque cibernético que afectó instituciones financieras en México, ha quedado al descubierto que en el país la búsqueda de talento especializado en ciberseguridad representa un reto, incluso para las empresas sin importar la industria a la que pertenezcan.

Una publicación de la consultora Deloitte destaca que tanto en México como a nivel global, son pocos los profesionales en este ramo para cubrir las vacantes de ciberseguridad, generando una situación crítica que afecta a las organizaciones, volviéndolas más vulnerables a los ataques criminales cibernéticos.

De acuerdo con el “2017 Global Information Security Workforce Study”, elaborado por la firma Booz Allen Hamilton, para 2022, la brecha de mano de obra de ciberseguridad llegará a 1.8 millones de profesionales, cifra que representa un aumento de 20% respecto a los pronósticos de 2015 del mismo estudio.

Es necesario que tanto entidades educativas, como autoridades, organizaciones privadas y de gobierno trabajen en iniciativas para desarrollar el talento suficiente, que tenga la capacidad de hacer frente a estos temas, que como hemos visto, la ciberseguridad no es algo pasajero, sino que llegó para quedarse como parte del ADN de las organizaciones.

En este sentido, se estima que en los próximos años cada vez más corporaciones invertirán en herramientas de seguridad. En concreto, se prevé que en los próximos tres años el 60% de las empresas apuesten por estas soluciones frente al 35% de las empresas que lo hacen en la actualidad.

Una alternativa ante la falta de personal especializado para cubrir las vacantes de ciberseguridad en las organizaciones es el outsourcing. Se estima que el segmento de externalización de TI será el segundo mayor después del segmento de consultoría.

Es por ello que le invitamos a ponerse en contacto con nosotros para proveerle más información respecto a la implementación de nuestras soluciones, así como los casos de éxito con nuestros clientes.

Fuente https://www2.deloitte.com/mx/es/pages/dnoticias/articles/ciberataque-sistema-financeiro.html